Auftragsverarbeitungsvertrag (AVV)

Vertragsparteien

zwischen der jeweiligen Kommune, Schule, Behörde oder sonstigen öffentlichen Einrichtung (nachfolgend „Verantwortlicher“) und Philipp Paul, Zillertalstraße 37, 13187 Berlin, info@vergabo.de (nachfolgend „Vergabo“ oder „Auftragsverarbeiter“)

§ 1 Gegenstand, Dauer und Abgrenzung

(1) Vergabo verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen, soweit der Verantwortliche über die Vergabo-Plattform Vergabeverfahren nach VOB/A Abschnitt 1 (Bauleistungen) bzw. UVgO (Liefer- und Dienstleistungen) durchführt und dokumentiert. Die Laufzeit entspricht der Laufzeit des Nutzungsvertrags; die Pflichten aus § 8 gelten darüber hinaus.

(2) Nicht Gegenstand dieses Vertrags sind Verarbeitungen, die Vergabo für eigene Zwecke als eigener Verantwortlicher vornimmt: die Nutzerkonten und Mitgliedschaften, die Abrechnung, die Profile der Betriebe einschließlich der dort hinterlegten Eigenerklärungen und Nachweise und ihrer Prüfung durch Vergabo, die Benachrichtigung passender Betriebe über offene Ausschreibungen, Bewertungen, Merklisten sowie die Sicherheit der Plattform. Hierfür gilt die Datenschutzerklärung.

(3) Bei Widersprüchen zwischen diesem Vertrag und den Allgemeinen Geschäftsbedingungen gehen in Fragen des Datenschutzes die Regelungen dieses Vertrags vor.

§ 2 Art und Zweck der Verarbeitung, Art der Daten

Zweck der Verarbeitung ist die Durchführung und Dokumentation der Vergabeverfahren des Verantwortlichen: Erstellen und Veröffentlichen von Ausschreibungen, Einladung von Betrieben, Beantwortung von Bieterfragen, Entgegennahme, Öffnung und Wertung von Angeboten, Nachforderung von Unterlagen, Zuschlag oder Aufhebung, Information der Bieter, Vergabevermerk und Niederschrift sowie die Veröffentlichung vergebener Aufträge (Ex-post-Information unter Vergebene Aufträge) in den gesetzlich vorgesehenen Fällen.

Art der verarbeiteten Daten:

• Namen und Kontaktdaten von Ansprechpersonen und weiteren am Verfahren beteiligten Beschäftigten des Verantwortlichen
• Auftragsdaten, Leistungsbeschreibungen und Vergabeunterlagen, soweit sie personenbezogene Daten enthalten
• Name, Anschrift und Kontaktdaten der Bieter und der eingeladenen Betriebe sowie E-Mail-Adressen von Personen, die ohne Konto eingeladen werden
• Angebote, Preise, Angebotsunterlagen und im Verfahren eingereichte Nachweise
• Bieterfragen, Antworten und Mitteilungen
• Vergabevermerke, Niederschriften und die Vergabehistorie (Audit-Log) des Verfahrens

§ 3 Kategorien betroffener Personen

• Beschäftigte des Verantwortlichen, die im Verfahren handeln oder genannt werden
• Inhaberinnen und Inhaber, Ansprechpersonen und Beschäftigte der Betriebe, die eingeladen werden, Fragen stellen oder Angebote abgeben
• Personen, die ohne Konto per E-Mail eingeladen werden
• Sonstige Personen, die in Vergabeunterlagen oder Angeboten genannt sind

§ 4 Weisungen

(1) Vergabo verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf die Übermittlung in ein Drittland, es sei denn, Vergabo ist durch das Recht der Union oder Deutschlands dazu verpflichtet; in diesem Fall teilt Vergabo dem Verantwortlichen diese Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

(2) Weisungen sind dieser Vertrag und die Nutzung der Funktionen der Plattform durch den Verantwortlichen. Einzelweisungen erteilt der Verantwortliche in Textform an info@vergabo.de.

(3) Ist Vergabo der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert Vergabo den Verantwortlichen unverzüglich.

§ 5 Pflichten des Auftragsverarbeiters

• Vergabo gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
• Vergabo trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in der Anlage beschrieben sind. Sie dürfen weiterentwickelt werden, solange das Schutzniveau nicht unterschritten wird.
• Vergabo unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 23 DSGVO). Richtet sich eine betroffene Person unmittelbar an Vergabo, leitet Vergabo das Anliegen an den Verantwortlichen weiter.
• Vergabo unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO. Eine Verletzung des Schutzes personenbezogener Daten meldet Vergabo dem Verantwortlichen unverzüglich nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen.
• Vergabo stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung dieser Pflichten zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen durch den Verantwortlichen oder einen von ihm beauftragten Prüfer. Überprüfungen sind mit angemessener Frist anzukündigen; sie können zunächst durch Auskünfte und Unterlagen erfolgen.
• Mitarbeiterinnen und Mitarbeiter von Vergabo mit Administrationsrechten können die gespeicherten Daten der Vergabeverfahren einsehen, soweit das für Betrieb, Support und Fehleranalyse erforderlich ist. Der Zugang verlangt eine Zwei-Faktor-Authentifizierung; Angebote und Preise sind auch für sie erst nach der Öffnung durch die Vergabestelle sichtbar; beim Direktauftrag, der keine Öffnung kennt, sobald sie eingegangen sind. Jede Einsicht in ein Verfahren steht als „Einsicht durch Vergabo-Support“ in dessen Vergabehistorie und ist für den Verantwortlichen sichtbar.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche genehmigt den Einsatz der nachfolgend genannten Unterauftragsverarbeiter.

(2) Darüber hinaus erteilt der Verantwortliche eine allgemeine Genehmigung für weitere oder andere Unterauftragsverarbeiter. Vergabo informiert den Verantwortlichen mindestens 30 Tage vor jeder Hinzuziehung oder Ersetzung per E-Mail. Der Verantwortliche kann der Änderung innerhalb von 14 Tagen nach Zugang in Textform widersprechen. Wird keine Lösung gefunden, kann der Verantwortliche den Nutzungsvertrag zum Zeitpunkt der Änderung kündigen.

(3) Vergabo erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind. Kommt ein Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet Vergabo gegenüber dem Verantwortlichen für deren Einhaltung.

(4) Übermittlungen in Drittländer erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage der EU-Standardvertragsklauseln.

§ 7 Rechte des Verantwortlichen

Der Verantwortliche kann jederzeit Auskunft über die Verarbeitung verlangen, Weisungen erteilen und Überprüfungen nach § 5 durchführen. Die Daten seiner Vergabeverfahren kann er über die Plattform jederzeit abrufen (Vergabevermerk, Niederschrift, Datenexport).

§ 8 Aufbewahrung, Löschung und Rückgabe

(1) Vergabeverfahren sind zu dokumentieren (§ 20 VOB/A, § 6 UVgO) und unterliegen Aufbewahrungsfristen. Der Verantwortliche weist Vergabo an, die Daten abgeschlossener Vergabeverfahren auch nach dem Ende des Nutzungsvertrags oder der Löschung eines Kontos für die Dauer der hinterlegten Aufbewahrungsfrist aufzubewahren (derzeit zehn Jahre) und sie danach zu löschen.

(2) Nach dem Ende des Nutzungsvertrags stellt Vergabo dem Verantwortlichen auf Verlangen die Daten seiner Vergabeverfahren zur Verfügung. Verlangt der Verantwortliche in Textform eine frühere Löschung, löscht Vergabo die Daten, soweit Vergabo nicht selbst gesetzlich zur Aufbewahrung verpflichtet ist.

§ 9 Haftung

Die Haftung der Vertragsparteien richtet sich nach Art. 82 DSGVO sowie den Regelungen im Nutzungsvertrag.

§ 10 Schlussbestimmungen

Dieser Vertrag unterliegt deutschem Recht. Gerichtsstand ist Berlin. Änderungen bedürfen der Textform. Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Anlage: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Datenhaltung. Datenbank und Dateien liegen in der Region Frankfurt (Deutschland), die Anwendung läuft ebenfalls in Frankfurt. Vergabo betreibt keine eigenen Server; der physische Zutritt ist Sache der Rechenzentren der Unterauftragsverarbeiter.

• Zugang: Anmeldung mit Passwort, das bei der Vergabe gegen bekannte Datenlecks geprüft wird; Zwei-Faktor-Authentifizierung (Authenticator-App) für jedes Konto verfügbar und, sobald eingerichtet, bei jeder Anmeldung serverseitig und in der Datenbank verlangt; Begrenzung der Anmeldeversuche; automatische Abmeldung im Browser nach zwölf Stunden Inaktivität.
• Zugriff: Zugriffsregeln auf Zeilenebene (Row Level Security) für jede Tabelle; Rechte je Organisation und Rolle; Spalten, die nur der Server schreiben darf, sind dem Browser entzogen. Angebote sind bis zur Öffnung durch die Vergabestelle auch für diese nicht lesbar; ausgenommen ist der Direktauftrag, bei dem die Vergabestelle Angebote mit dem Eingang sieht.
• Trennung: Die Daten jeder Vergabestelle und jedes Betriebs sind über die Zugriffsregeln voneinander getrennt.
• Weitergabe: Verschlüsselte Übertragung (HTTPS/TLS); Dateien in privaten Speicherbereichen, abrufbar nur über kurzlebige signierte Links nach Berechtigungsprüfung und nur als Download; Prüfung hochgeladener Dateien auf ihren tatsächlichen Dateityp; strenge Skript-Richtlinie (Content Security Policy) in den angemeldeten Bereichen.
• Eingabe: Vergabehistorie (Audit-Log) der Verfahrensschritte; Abrufe von Dateien werden protokolliert; Änderungen veröffentlichter Ausschreibungen protokolliert die Datenbank selbst; Korrekturen erfolgen durch Stornierung, nicht durch Löschen.
• Verfügbarkeit: Verschlüsselte Speicherung der Datenbank; tägliche automatische Sicherungen des Datenbankdienstes mit sieben Tagen Vorhaltezeit.
• Überprüfung: Sicherheitsupdates der eingesetzten Software; regelmäßige Sicherheitsprüfungen des Quellcodes und der Zugriffsregeln (zuletzt Oktober 2026).

Hinweis: Durch die Registrierung und Nutzung von Vergabo als öffentlicher Auftraggeber schließen Sie diesen Vertrag in elektronischer Form. Auf Anfrage stellen wir Ihnen gerne ein unterzeichnetes Exemplar per E-Mail zu: info@vergabo.de